Le 27 octobre 2026, la CISA a annoncé ScubaGear v2.0 pour Microsoft 365 et ScubaGoggles v1.1.0 pour Google Workspace. ScubaGear automatise notamment l’évaluation de Power BI et rassemble plusieurs familles de contrôles dans un référentiel commun ; ScubaGoggles ajoute des outils de configuration et de visibilité pour Google Workspace.
| Outil | Environnement évalué | Version annoncée | Principaux ajouts |
| ScubaGear | Microsoft 365 | v2.0, enregistrée comme v2.0.0 dans le dépôt | Évaluation automatisée de Power BI, référentiel Security Suite et gestion du risque lié aux applications |
| ScubaGoggles | Google Workspace | v1.1.0 | Référentiel de contrôles assurés, contrôles Gemini renforcés et configuration YAML avec Google Policy API |
Le dépôt ScubaGear indique le 22 octobre 2026 comme date d’enregistrement de la version v2.0.0. Cette date précède celle de l’annonce de la CISA, publiée le 27 octobre.
Ce que ScubaGear v2.0 change pour Microsoft 365
ScubaGear v2.0 ajoute une évaluation entièrement automatisée de Power BI et regroupe les contrôles de Defender, Purview, Exchange Online et Teams dans le référentiel Security Suite. Pour les équipes qui gèrent plusieurs produits Microsoft 365, ce référentiel rassemble ces contrôles dans un même ensemble.
La version renforce aussi les règles de gestion des applications et attribue un niveau de gravité aux applications jugées risquées, afin d’aider à établir les priorités. Son interface de configuration, Config UI, ajoute des fonctions de migration des stratégies, un visualiseur intégré et une navigation dans les documents de référence.
ScubaGear utilise désormais des appels directs à l’API REST pour tous les produits Microsoft 365 pris en charge. La CISA affirme que ce changement rend les évaluations plus rapides et plus précises. Elle présente aussi les améliorations de Power BI et des autres fonctions comme des outils d’évaluation des paramètres des environnements cloud au regard de référentiels de sécurité.
Les nouveautés de ScubaGoggles v1.1.0
Pour Google Workspace, ScubaGoggles v1.1.0 apporte un référentiel de contrôles assurés et renforce les contrôles consacrés à Gemini. L’interface graphique permet de créer et de gérer les fichiers de configuration YAML, avec validation intégrée et export.
L’intégration de Google Policy API donne une visibilité quasi en temps réel sur la configuration. La conception de ScubaGoggles ne dépend pas des journaux d’activité des administrateurs, ce qui répond aux problèmes de fenêtres de conservation courtes et de paramètres par défaut masqués cités par la CISA.
La commande ScubaGear et les conditions pour évaluer Power BI
Le guide d’exécution de la CISA utilise la commande Invoke-SCuBA. Pour lancer l’évaluation de tous les produits, il indique Invoke-SCuBA -ProductNames *. Le script RunSCuBA.ps1 a été retiré dans ScubaGear v0.2.0, publiée le 16 décembre 2022. Si le module a été téléchargé depuis GitHub, il faut d’abord l’importer dans la session PowerShell.
Une évaluation interactive de Power BI exige le rôle Fabric Administrator ou Global Administrator, une licence Power BI ou Microsoft Fabric attribuée au compte et au moins une connexion préalable au portail Power BI. La CISA précise ces conditions dans sa documentation sur les autorisations interactives.
